ทีมพัฒนา Docker ได้ทำการลบ Docker Container Image 17 รายการออกไปจาก Docker Hub หลังตรวจพบว่า Image เหล่านี้มีการฝัง Backdoor เอาไว้ เพื่อใช้ในการติดตั้ง Reverse Shell และ Cryptocurrency Miner ในระบบของเหยื่อที่โหลดไปใช้ในช่วงปีที่ผ่านมา

Credit: Kromtech

Docker Image เหล่านี้ถูกอัปโหลดขึ้นไปบน Docker Hub Repository และถูกนำเสนอในฐานะของ Docker Image ที่ผู้ใช้งานสามารถนำไปใช้งานได้อย่างง่ายดายและสำเร็จรูปเพื่อรองรับบริการต่างๆ โดยใน 17 Container Image ที่ถูกลบออกจาก Docker Hub ในครั้งนี้ ล้วนเป็น Image ที่ถูกอัปโหลดโดยบุคคลหรือกลุ่มเดียวกันทั้งสิ้นภายใต้ชื่อ docker123321 และบาง Package นั้นก็มีผู้ใช้งานทำการโหลดไปติดตั้งใช้งานแล้วเกินกว่า 1 ล้านครั้ง ในขณะที่บาง Package ก็ถูกโหลดไปติดตั้งแล้วหลายแสนครั้ง

เหตุการณ์ในครั้งนี้ถูกเปิดเผยขึ้นมาตั้งแต่ช่วงปลายปี 2017 ที่ผ่านมา โดยมีผู้ใช้งานพบพฤติกรรมผิดปกติเกิดขึ้นใน Cloud Server ของตนที่ใช้งาน Docker และ Kubernetes พร้อมรายงานประเด็นด้านความมั่นคงปลอดภัยให้กับผู้พัฒนาทราบ ในขณะที่เหล่าบริษัททางด้าน Security เองก็ได้เผยแพร่รายงานความผิดปกติที่ตนเองพบ และสื่อต่างๆ ก็นำเสนอประเด็นดังกล่าว จนในที่สุด Fortinet และ Kromtech นั้นก็ได้รวบรวมข้อมูลหลักฐานทั้งหมด จนสามารถสาวมาถึง Account ที่มีชื่อว่า docker123321 นี้ได้

อย่างไรก็ดีถึงแม้จะทราบแล้วว่าต้นตอของปัญหาที่เกิดขึ้นจะมาจากที่ใด และผู้ที่เป็นเหยื่อจะเลิกใช้ Image เหล่านั้นไปแล้ว แต่ระบบของเหยื่อเหล่านั้นก็อาจถูกเจาะและติดตั้งเครื่องมือต่างๆ สำหรับการโจมตีต่อเนื่องในภายหลังเอาไว้แล้วก็เป็นได้ ดังนั้นวิธีการที่ทาง Kromtech แนะนำก็คือการล้างระบบเดิมทิ้งและติดตั้งใหม่ทั้งหมดเพื่อความมั่นใจ

สำหรับรายงานฉบับเต็ม สามารถอ่านได้ที่ https://www.fortinet.com/blog/threat-research/yet-another-crypto-mining-botnet.html และ https://kromtech.com/blog/security-center/cryptojacking-invades-cloud-how-modern-containerization-trend-is-exploited-by-attackers ครับ

ที่มา: https://www.bleepingcomputer.com/news/security/17-backdoored-docker-images-removed-from-docker-hub/

CR:https://www.techtalkthai.com/docker-removes-17-docker-images-with-backdoor-from-docker-hub/